¿Quién revisó vuestras neveras el fin de semana pasado?

En la noche del 11 al 12 de octubre, unos atacantes accedieron a los controladores de refrigeración de cientos de supermercados franceses. Pusieron las unidades en modo de descongelación y, según se ha informado, las temperaturas llegaron a alcanzar los 50 °C (AP, CBS News). Le Monde informó de que los atacantes también prolongaron algunos ciclos de descongelación de una hora a ocho, retrasando así las alarmas que normalmente alertarían al personal (TIME).

Por la mañana, las tiendas ya estaban tirando sus existencias. En algunas se produjeron incendios. Las primeras estimaciones sitúan las pérdidas en millones de euros, y los investigadores siguen tratando de determinar quién fue el responsable.

Todo empezó como un ciberataque. Y acabó en unas cámaras frigoríficas un fin de semana.

Así que la pregunta es la siguiente: si esta noche fallara un sistema crítico en vuestras instalaciones, ¿quién se daría cuenta y qué pasaría después?

La brecha de convergencia

La responsabilidad sobre los equipos conectados puede abarcar la ciberseguridad, las instalaciones y la seguridad física. El riesgo reside en los traspasos de responsabilidad: ¿quién recibe una alerta, quién comprueba el activo y quién se encarga de la respuesta?

El ataque pone de manifiesto por qué esos equipos deben evaluar el riesgo de forma conjunta. Una intrusión digital puede provocar daños físicos, y la respuesta debe relacionar la información que proporcionan los sistemas con lo que las personas pueden verificar in situ.

Las estrategias más completas están logrando cerrar esa brecha gracias a la tecnología, combinada con la supervisión humana: sensores digitales para detectar y personas sobre el terreno para verificar, actuar y documentar.

Los sensores detectan. Las personas verifican.

Así es como se ve en la práctica:

1. Un sensor detecta un problema. Un sensor de IoT de temperatura, alimentación eléctrica o fugas envía una alerta al centro de operaciones de seguridad (SOC).
2. El SOC envía a alguien. Se envía a un agente de patrulla o a un miembro del personal in situ al lugar donde se encuentra el activo.
3. Verifican y actúan. Comprueban las condiciones en persona, siguen el procedimiento establecido en las instalaciones y remiten el asunto al responsable correspondiente.
4. Todo está documentado. La alerta, la respuesta, la lectura y el resultado figuran en un único expediente.

Cuando no se recibe una alerta —ya sea porque falla el sistema de vigilancia, se alteran los ajustes o no se supervisa un activo—, las rondas de control programadas pueden ofrecer otra oportunidad para detectar un problema. Un guardia que utilice un termómetro independiente puede documentar tanto su presencia como el estado observado en ese momento.

Ninguna de estas medidas es suficiente por sí sola. Los sensores pueden ser manipulados o fallar sin que se note. Las patrullas no pueden estar en todas partes a la vez. Juntas, crean un registro verificado de tus activos más importantes.

No se trata solo de los supermercados

• Complejo empresarial: un sensor detecta un problema en la cámara frigorífica del comedor de empleados un sábado. El SOC envía a un agente, quien confirma el problema y lo comunica al departamento de instalaciones antes de que se sirva la comida el lunes.
• Sanidad: un frigorífico para medicamentos marca un valor fuera de rango durante la noche. El personal de seguridad no decide si el stock es seguro; se limita a verificar la lectura y a informar rápidamente al personal de farmacia o clínico, que es quien toma esa decisión.
• Distribución de alimentos: un remolque frigorífico se queda sin energía entre turnos. Una alerta del sensor o una inspección programada en el patio pueden detectarlo antes de que se envíe la carga.
• Fabricación: los materiales sensibles a la temperatura permanecen inactivos durante el parón del fin de semana. Las alertas de los sensores y las inspecciones de patrulla, en consonancia con tus procedimientos de calidad, pueden detectar un problema antes de que afecte al inventario o a la producción.
• Centros de datos: se activa una alerta de refrigeración, o bien un miembro del equipo de vigilancia detecta una temperatura inusual o una fuga. En cualquier caso, la información se remite directamente al equipo técnico.

Tus guardias no tienen por qué convertirse en ingenieros de refrigeración. Lo que tienen que saber es qué deben comprobar, qué se considera un problema y a quién deben llamar.

Tres preguntas para tu equipo esta semana

1. ¿Analizan conjuntamente estos riesgos tus equipos de ciberseguridad, instalaciones y seguridad? Si un controlador se viera comprometido, ¿quién se daría cuenta y se lo comunicaría al personal de las instalaciones?
2. ¿Qué comprueba cada capa? Averigua qué activos cuentan con sensores, cuáles se someten a controles de patrulla y cuáles cuentan con ambos. En el caso de las patrullas, define el valor de lectura, el método y el rango aceptable, y asegúrate de que no dependa del sistema que estés verificando.
3. ¿Quién interviene cuando surge un problema? Cada alerta o excepción debe tener un responsable, una ruta de derivación y un contacto de reserva en caso de que la primera persona no responda.

Un dato que permanece en un informe hasta el lunes no sirve de nada para resolver un problema que se está produciendo el sábado por la noche.

Convierte las alertas en acciones, y las acciones en pruebas

Una respuesta útil debe incluir cuatro elementos: el activo, la lectura, la hora y las medidas que se tomaron al respecto. Ese registro ayuda a tu equipo a actuar en el momento y, posteriormente, puede servir de apoyo en investigaciones, auditorías y reclamaciones al seguro.

La próxima avería en tus instalaciones podría deberse a un pirata informático o a un compresor averiado. En cualquier caso, necesitas algo más que una alerta y algo más que la prueba de que alguien pasó por allí.